Zostały wydane aktualizacje języka programowania Ruby 3.1.2, 3.0.4, 2.7.6, 2.6.10, w których naprawiono dwie luki w zabezpieczeniach:
- CVE-2022-28738 — podwójne zwolnienie pamięci (double-free) w kodzie kompilacji wyrażeń regularnych, które występuje przy przekazywaniu specjalnie sformatowanego ciągu podczas tworzenia obiektu Regexp. Luka może być wykorzystana w przypadku użycia w obiekcie Regexp niezweryfikowanych danych zewnętrznych.
- CVE-2022-28739 — przepełnienie bufora w kodzie konwersji z ciągu na liczbę zmiennoprzecinkową. Ta luka może potencjalnie zostać wykorzystana do uzyskania dostępu do zawartości pamięci podczas przetwarzania niezweryfikowanych danych zewnętrznych w takich metodach jak Kernel#Float i String#to_f.
Źródło: opennet.ru
